Utiliser CMEK avec le moteur RAG Vertex AI

Cette page vous explique comment activer CMEK pour qu'il fonctionne avec le moteur RAG Vertex AI.

Présentation

Le moteur RAG Vertex AI offre des options robustes pour gérer le chiffrement de vos données au repos. Par défaut, toutes les données utilisateur de RagManagedDb sont chiffrées à l'aide de Google-owned and Google-managed encryption key, qui est le paramètre par défaut. Ce paramètre par défaut vous permet de vérifier que vos données sont sécurisées sans nécessiter de configuration spécifique.

Si vous avez besoin de plus de contrôle sur les clés utilisées pour le chiffrement, le moteur RAG Vertex AI est compatible avec les clés de chiffrement gérées par le client (CMEK). Avec CMEK, vous pouvez utiliser vos clés cryptographiques, gérées dans Cloud Key Management Service (KMS), pour protéger les données de votre corpus RAG.

Configurer la clé de chiffrement avec votre corpus RAG

Pour configurer une clé de chiffrement, suivez les étapes décrites dans Configurer votre clé KMS et accorder des autorisations.

Limites de CMEK pour le moteur RAG Vertex AI

Le moteur RAG Vertex AI est compatible avec CMEK, mais présente les limites suivantes :

  • Un corpus RAG non compatible avec CMEK doit déjà exister dans le projet avant de pouvoir créer un corpus RAG compatible avec CMEK.

  • Le chiffrement CMEK n'est compatible qu'avec les RagVectorDbConfig de type RagManagedDb.

  • Le champ encryption_spec définit la clé KMS. Il est immuable, ce qui signifie que CMEK ne peut pas être activé ni désactivé une fois le corpus RAG créé.

  • Vous ne pouvez pas utiliser plus de 50 clés KMS uniques pour créer des corpus RAG par projet et par région.

Étapes suivantes